Priključci, enkripcija i prijava

Modul 1: Kako funkcionira e-mail · Vrijeme čitanja: 10 minuta

Cilj učenja: Nakon ove lekcije moći ćete za svaki mail priključak reći čemu služi, objasniti razliku između STARTTLS-a i izravnog TLS-a, te protumačiti poruku o certifikatu ili odbijenu prijavu.

Ključni pojmovi: priključak 25, 587, 465, 993, 995, 143, 110, STARTTLS, izravni TLS (implicit TLS, RFC 8314), certifikat, naziv servera, SMTP autentikacija (SMTP AUTH), open relay, blokiranje priključka 25, lozinka za aplikaciju, OAuth

Priključak je vrata

Server ima jednu IP adresu, ali mnogo vrata. Svaka usluga osluškuje na svom vlastitom priključku, broju. Vaš web preglednik kuca na priključak 443, Vaš program za e-poštu na priključak 993 za čitanje pošte, a na 587 ili 465 za slanje. Odaberete li pogrešna vrata, nitko se ne javlja, ili se javlja netko tko govori drugim jezikom. To rezultira nejasnim porukama o greškama poput „ne mogu uspostaviti vezu” ili „server ne odgovara”.

Pregled mail priključaka:

Zašto ne jednostavno priključak 25 za slanje?

Nekada ste u programu za e-poštu postavljali priključak 25. To je iz dva razloga prošlost.

Prvo: na priključku 25 mail server prima poštu od svih, za svoje vlastite domene. Pritom se ne prijavljujete. Server koji na priključku 25 također prosljeđuje poštu svih prema drugim domenama naziva se open relay, a spameri ga zloupotrijebe u roku od nekoliko sati. Zato je slanje Vaše vlastite pošte prema cijelom svijetu postalo zasebna usluga: submission na priključku 587 (i 465), gdje se uvijek prvo prijavljujete.

Drugo: mnogi internetski pružatelji usluga blokiraju odlazni promet prema priključku 25 s kućnih priključaka. Zaraženo računalo u dnevnom boravku tada ne može izravno slati spam prema mail serverima. Posljedica za Vas: pokušate li slati iz programa za e-poštu putem priključka 25, to možda neće raditi kod kuće, a na poslu hoće, ili obrnuto.

Zapamtite: programi za e-poštu šalju putem 587 ili 465, uz prijavu. Priključak 25 namijenjen je serverima međusobno.

STARTTLS ili izravni TLS?

Postoje dva načina enkripcije mail veze.

Izravni TLS (implicit TLS): veza je od prvog bajta enkriptirana, baš kao web stranica s https. To se događa na 465, 993 i 995.

STARTTLS: veza počinje neenkriptirano. Server kaže „mogu enkriptirati”, klijent odgovara STARTTLS, i od tog trenutka sve je enkriptirano. To se događa na 587 (te na 25, 143 i 110).

Za sigurnost je malo bitno koji se koristi, dokle god Vaš program STARTTLS čini obaveznim. Rizik kod STARTTLS-a leži u početku: netko tko se nalazi između Vas i servera može ukloniti ponudu „mogu enkriptirati”. Program koji tada tiho nastavlja neenkriptirano šalje Vašu lozinku čitljivu preko linije. Zato RFC 8314 (2018) preporučuje programima za e-poštu izravni TLS (465, 993, 995) umjesto STARTTLS-a. U praksi su 587 sa STARTTLS-om i 465 sa SSL/TLS-om obje dobre opcije, ako enkripciju u svom programu postavite na „obavezno”, a ne na „ako je dostupno”.

Česta greška je pogrešna kombinacija: priključak 587 s „SSL/TLS”, ili priključak 465 sa „STARTTLS”. Program tada očekuje nešto drugo od onoga što server radi, pa veza zapinje ili ne uspijeva. Zapamtite parove: 587 + STARTTLS i 465 + SSL/TLS. Programi izravni TLS ponekad nazivaju „SSL”, „SSL/TLS” ili „TLS”; STARTTLS se ponekad također naziva „TLS”. Zato obratite pažnju na priključak.

Certifikat i naziv servera

Kod svake enkriptirane veze server pokazuje certifikat, koji dokazuje da je upravo onaj za koga se predstavlja. Vaš program za e-poštu provjerava dvije stvari: je li certifikat izdala pouzdana strana i je li još uvijek valjan, te sadrži li naziv koji ste Vi unijeli kao server.

Ovo potonje najčešće zakaže. Unesete li mail.example.com, a u certifikatu stoji samo server12.hosting.example, dobit ćete poruku poput „Ne mogu provjeriti identitet servera” ili „Naziv principala odredišta nije ispravan”. Sama veza je tada ipak enkriptirana, ali Vaš program ne može sa sigurnošću znati da razgovara sa stvarnim serverom.

Nemojte takvu poruku samo zatvoriti. Rješenje je naziv servera koji doista stoji u certifikatu (vidi lekciju 2.1). Kod dijeljenog servera to je često naziv samog servera, koji navodi Vaš pružatelj usluge. Još jedan poznati uzrok: antivirusni program koji „skenira” enkriptiranu poštu i pritom umeće vlastiti certifikat. U poruci se tada kod „izdao” nalazi naziv tog skenera.

Prijava kod slanja

Na priključcima 587 i 465 morate se prijaviti prije nego što server pristane poslati Vašu poštu prema van. To se naziva SMTP autentikacija (SMTP AUTH). U Vašem programu ta se opcija naziva „odlazni server zahtijeva provjeru autentičnosti”, „prijava obavezna” ili „autentikacija: normalna lozinka”. Najčešće koristite isto korisničko ime i istu lozinku kao za IMAP.

Ako je autentikacija isključena, ili je korisničko ime kod odlaznog servera ostalo prazno, možete čitati poštu, ali ne i slati je. Server tada odgovara nečim poput 530 5.7.0 Authentication required ili 554 5.7.1 Relay access denied. To je najčešći razlog situacije „primanje radi, slanje ne”.

Druga vrsta odbijanja: 535 5.7.8 Authentication failed. Tada kombinacija korisničkog imena i lozinke nije ispravna. Pazite: nakon nekoliko neuspjelih pokušaja mnogi serveri blokiraju IP adresu s koje ti pokušaji dolaze, radi zaštite od pogađanja lozinke. Stari telefon sa starom lozinkom tako može blokirati čitav Vaš ured.

Lozinke za aplikacije i OAuth

Kod velikih pružatelja usluga poput Googlea i Microsofta prijava samo s Vašom običnom lozinkom u zasebnom programu za e-poštu radi sve rjeđe. Oni koriste OAuth: Vaš program Vas usmjerava na stranicu za prijavu pružatelja usluge, ondje se prijavljujete (eventualno s dvostupanjskom provjerom), a program dobiva ključ umjesto Vaše lozinke. Programi koji to ne mogu ponekad dobivaju lozinku za aplikaciju: zasebnu, dugu lozinku koja vrijedi samo za taj jedan program i koju možete zasebno povući.

Kod obične mailbox usluge kod hosting tvrtke obično se prijavljujete lozinkom same mailbox. Zbog toga je jaka i jedinstvena lozinka dodatno važna (lekcija 3.4).

U praksi: postavke mailbox

Kod mailbox usluge WebOké postavke su: IMAP 993 sa SSL/TLS, POP3 995 sa SSL/TLS, slanje 587 sa STARTTLS ili 465 sa SSL/TLS, autentikacija uključena s Vašom punom e-mail adresom i lozinkom mailbox. Kod drugih pružatelja usluga to funkcionira slično: priključci su gotovo posvuda isti, samo se naziv servera razlikuje. Koji naziv servera odabrati, vidite u lekciji 2.1.

Sažetak

• Programi za e-poštu šalju putem 587 (STARTTLS) ili 465 (izravni TLS), uvijek uz prijavu. Priključak 25 namijenjen je serverima međusobno i kod kuće se često blokira.
• Čitanje ide putem 993 (IMAP) ili 995 (POP3), oba s izravnim TLS-om.
• Kombinirajte ispravno: 587 + STARTTLS, 465 + SSL/TLS. Postavite enkripciju na obavezno.
• Poruka o certifikatu obično znači: naziv servera koji ste unijeli ne nalazi se u certifikatu. Zatvaranje poruke nije rješenje.
• „Čitanje radi, slanje ne” gotovo je uvijek: autentikacija za odlazni server je isključena ili prazna.

Kviz

Zadatak

Zadatak Z1.4: Priključci i certifikat mail servera. Unesite naziv dolaznog i odlaznog servera koji koristite za svoju vlastitu mailbox (ako nemate vlastitu mailbox, koristite imap.gmail.com i smtp.gmail.com). Za priključak 993 (dolazni) i priključke 465 i 587 (odlazni) odaberite što očekujete: izravni TLS, STARTTLS ili nedostupno, te navedite mislite li da se naziv nalazi u certifikatu. Program sam uspostavlja vezu s tri priključka i stavlja rezultat uz Vaše odgovore.

Dodatno štivo

Koraci u ovim člancima vrijede za panele WebOké; kod drugih pružatelja usluga postupak je sličan.

• DirectAdmin priručnik 8.1: Svi postavci na jednom mjestu: serveri, portovi i sigurnost
• DirectAdmin priručnik 8.8: Slanje ili primanje ne uspijeva: evo kako to riješiti
• Pogreška certifikata pri preuzimanju e-pošte
• Ne mogu slati e-poštu (primanje funkcionira)
• RFC 8314 (izravni TLS za programe za e-poštu), RFC 6409 (submission), RFC 3207 (STARTTLS), RFC 4954 (SMTP AUTH)